如何用Terraform在集中监控账户部署跨区域CloudWatch告警？

问题场景 #

我们的AWS环境包含三个账户：

• 集中监控账户（部署仪表盘和告警，区域ap-southeast-1）
• 生产负载A账户（区域ap-southeast-1）
• 生产负载B账户（区域us-west-2）

生产账户已配置IAM权限允许监控账户读取其指标，当前通过Terraform在监控账户部署资源：

• 仪表盘通过模板指定目标区域，正常工作
• 负载A的告警正常（区域与监控账户一致）
• 负载B的告警默认使用监控账户的ap-southeast-1区域，但其指标存储在us-west-2，导致告警显示无数据

Terraform的aws_cloudwatch_metric_alarm资源没有直接的region参数，但AWS CLI支持该参数，需要解决Terraform下跨区域配置告警的问题。

解决方案：使用多区域AWS Provider实例 #

Terraform的AWS Provider是区域绑定的，我们可以为目标区域创建独立的Provider实例，让告警资源关联到对应区域的Provider，从而确保告警在指标所在区域创建。

1. 配置多区域Provider #

在Terraform配置中添加针对us-west-2的Provider：

# 默认Provider：监控账户所在的ap-southeast-1区域
provider "aws" {
  region = "ap-southeast-1"
}

# us-west-2区域的Provider，复用监控账户的凭证
provider "aws" {
  alias  = "us_west_2"
  region = "us-west-2"
}

2. 修改告警资源配置 #

调整aws_cloudwatch_metric_alarm资源，根据目标账户的区域选择对应的Provider：

resource "aws_cloudwatch_metric_alarm" "rds_cpu_utilisation" {
  for_each                  = local.env_map[var.environment]
  # 根据目标区域匹配对应的Provider
  provider                  = each.value.region == "us-west-2" ? aws.us_west_2 : aws
  
  alarm_name                = "High_CPU_Utilisation_RDS_${each.value.env}-rds-db"
  comparison_operator       = "GreaterThanThreshold"
  evaluation_periods        = "3"
  threshold                 = "70"
  alarm_description         = "RDS实例CPU使用率超过阈值"
  insufficient_data_actions = []
  treat_missing_data        = "breaching"
  alarm_actions = [
    # 用完整ARN指定监控账户的SNS主题，避免跨区域引用问题
    "arn:aws:sns:ap-southeast-1:${data.aws_caller_identity.current.account_id}:rds_db_alert_topic"
  ]

  metric_query {
    id          = "m1"
    return_data = "true"
    account_id  = each.value.account
    metric {
      metric_name = "CPUUtilization"
      namespace   = "AWS/RDS"
      period      = "60"
      stat        = "Maximum"
      dimensions = {
        DBInstanceIdentifier = "${each.value.env}-rds-db"
      }
    }
  }
}

关键注意点 #

• Provider绑定：CloudWatch告警必须和指标所在区域一致才能读取数据，通过指定对应区域的Provider，确保告警创建在us-west-2。
• 跨区域资源引用：告警触发的SNS主题在ap-southeast-1区域，必须使用完整ARN（包含区域、账户ID）才能让us-west-2的告警正常调用。
• 权限检查：确认监控账户的凭证在us-west-2区域拥有cloudwatch:PutMetricAlarm权限，同时能读取负载B账户的RDS指标。

验证步骤 #

部署后：

1. 切换到AWS控制台的us-west-2区域，确认告警已创建
2. 检查告警的指标配置是否指向负载B账户的RDS实例
3. 模拟高CPU负载，验证告警是否正常触发并发送通知

内容的提问来源于stack exchange，提问作者user45097